Active Directory 보안이란? AD 보안 알아보기

Active Directory를 노리는 주요 위협과 공격 기법은 무엇인가요?

Active Directory를 노리는 주요 위협과 공격 기법은 다음과 같습니다:

계정 기반 공격

계정 기반 Active Directory (AD) 공격은 사용자를 노려 자격 증명을 탈취하려 합니다. 주요 공격 방식은 다음과 같습니다:

Golden Ticket (T1558.001)

Golden Ticket 공격 은 Steal or Forge Kerberos Tickets: Golden Ticket (T1558.001)의 하위 기법입니다. 전체 네트워크를 침해하고 도메인 리소스에 대한 무단 접근 권한을 얻을 수 있습니다.

Impacket과 Mimikatz 같은 도구로 탐지를 회피하고 Windows 네트워크의 Kerberos 인증 프로토콜을 조작합니다.

Silver Ticket

Silver Ticket 공격은 다른 방식으로 작동합니다. 사용자 자격 증명을 탈취하고 Kerberos 프로토콜의 설계를 악용합니다. 공격자는 특정 서비스를 대상으로 서비스 티켓(TGS)을 위조할 수 있습니다. 이 TGS 티켓은 비밀번호 해시로 암호화되며 해당 서비스에 대해 생성할 수 있습니다. Silver Ticket 공격은 서비스 계정의 비밀번호 해시만으로 리소스에 은밀하고 지속적으로 접근합니다.

과도한 권한이 부여된 서비스 계정

Active Directory에서 필요 이상의 권한과 제어 권한을 가진 비인간 계정을 과도한 권한이 부여된 계정이라고 합니다. 이러한 계정은 데이터 침해, 자격 증명 탈취, 운영 중단을 초래할 수 있습니다.  네트워크에서 필요한 수준보다 많은 권한을 보유하고 있습니다.

자격 증명 탈취

Active Directory (AD) 자격 증명 탈취 공격은 사용자 이름, 비밀번호 및 기타 인증 데이터를 훔칩니다. 공격 방식은 다음과 같습니다:

Pass-the-Hash (T1550.002)

Pass-the-Hash (PtH) (MITRE T1550.002)는 침해된 시스템에서 비밀번호 해시를 탈취하는 측면 이동 공격입니다. 공격자는 이 해시로 다른 시스템에서 정상 사용자로 인증합니다.

Pass-the-Ticket (T1550.003)

Pass-the-Ticket (PtT) (MITRE T1550.003)는 탈취한 Kerberos 티켓을 재사용합니다. 네트워크 리소스에 무단으로 접근합니다. 공격자는 Mimikatz로 시스템 메모리에서 TGT를 추출합니다. 탈취한 티켓을 자신의 세션에 주입하고 정상 사용자를 사칭해 접근이 제한된 서비스에 들어갑니다.

Kerberoasting (T1558.003)

Kerberoasting (MITRE T1558.003)는 오프라인에서 서비스 계정의 자격 증명을 수집하고 크래킹하는 기법입니다. 인증된 도메인 사용자라면 누구나 실행할 수 있습니다. 오프라인 공격이므로 네트워크 탐지 위험이 없고 계정 잠금 정책도 피할 수 있습니다. SPN이 사용자 계정에 연결되어 있다면 공격에 취약합니다.

AS-REP Roasting

이는 Active Directory의 잘못된 구성을 악용하는 자격 증명 덤핑 공격입니다. 공격자는 먼저 'Kerberos 사전 인증이 필요하지 않음' 설정이 활성화된 계정을 찾습니다. 그런 다음 취약한 사용자를 대신해 도메인 컨트롤러에 인증 요청(AS-REQ)을 보냅니다. 사전 인증이 활성화되어 비밀번호를 제공할 필요가 없으며, 공격자는 그 대가로 티켓 부여 티켓(TGT)이 포함된 유효한 인증 서버 응답(AS-REP)을 받습니다.

디렉터리 서비스 악용

공격자가 Active Directory 서비스를 악용하는 방법은 다음과 같습니다:

DCsync/DCShadow (T1003.006/T1528)

DCSync 공격은 AD의 복제 프로세스를 악용해 자격 증명을 추출합니다. 공격자는 도메인 컨트롤러를 사칭하고 다른 도메인 컨트롤러에 민감한 비밀번호 데이터를 자신에게 직접 복제하도록 요청할 수 있습니다.

DCShadow 공격은 공격자가 획득한 높은 수준의 권한으로 악성 변경 사항을 적용합니다. 탐지를 피하며 접근 권한을 유지하는 기법으로, 침해된 시스템을 네트워크의 악성 도메인 컨트롤러로 위장할 수 있습니다.

AD Certificate Services 악용(ESC1–ESC8 공격 경로)

ESC1 공격 경로는 취약한 인증서 템플릿을 사용해 잘못된 구성을 악용합니다. 공격자는 Certipy 같은 도구로 이러한 템플릿을 찾고 사용자를 대신해 인증서를 요청할 수 있습니다. 이 인증서로 권한 있는 사용자로 인증하고 추가 공격을 실행할 수 있습니다.

ESC8 (NTLM Relay)은 잘못 구성된 AD CS 웹 등록 서비스를 악용합니다. 이 서비스는 HTTP 대신 NTLM 인증을 사용하며, 공격자는 NTLM 해시를 릴레이해 권한 있는 계정이 악성 서비스에 인증하도록 강제할 수 있습니다.

신뢰 관계와 위임 악용

공격자는 사용자가 다른 리소스에 접근할 수 있도록 하는 다중 도메인 환경의 신뢰 관계를 악용할 수 있습니다. 신뢰할 수 있는 도메인에서 권한을 높이고 무제한 위임이 설정된 시스템을 침해할 수 있습니다.  리소스 기반 제한 위임(RBCD)도 침투 경로입니다. 공격자는 시스템에서 실행되는 서비스를 잘못 구성해 권한을 높입니다.

복제 공격

Active Directory 복제 서비스를 악용하면 악성 변경 사항을 적용하고 자격 증명을 탈취할 수 있습니다. 복제 공격의 작동 방식은 다음과 같습니다:

• 무단 복제 요청(DCsync): 공격자가 도메인 컨트롤러(DC)를 사칭하고 민감한 데이터를 요청합니다.
• 섀도 도메인 컨트롤러(DCShadow): 공격자가 악성 DC를 등록하는 은밀한 기법입니다. 악성 DC는 정상적인 복제 절차를 통해 디렉터리에 악성 변경 사항을 적용합니다.
• AdminSDHolder/ACL 악용을 통한 지속성 확보: 공격자는 침해된 권한 있는 계정으로 지속적인 접근 권한을 확보합니다. AdminSDHolder 개체의 권한을 수정합니다. 보호 대상 그룹의 권한을 수동으로 변경해도 자동으로 되돌립니다.

Active Directory 보안 강화 방법: 모범 사례와 체크리스트

Active Directory 보안 강화 체크리스트입니다. 실천할 수 있는 Active Directory 보안 모범 사례도 함께 소개합니다:

• 관리자 계정은 특권 접근 관리를 통해 접근을 제한해야 합니다. 불필요한 권한을 제거하고 최소 권한 원칙을 적용하세요. 계정을 정기적으로 감사해 도메인 환경 전반에 자격 증명이 무분별하게 확산되지 않도록 하세요.
• 점프 서버는 통제된 접근 지점을 제공하고 잠재적인 침해 발생 시 측면 이동을 방지합니다. 일반 사용자 작업과 도메인 관리 작업 간에 네트워크를 분할하세요. 관리자 워크스테이션을 보호하고 권한을 계층화하세요.
• LDAP 서명을 적용하세요. LDAP 서명은 중간자 공격을 방지하고, 채널 바인딩은 디렉터리 서비스를 겨냥한 자격 증명 릴레이 시도를 차단합니다.
• 서비스 계정에 강력한 비밀번호 정책과 자동 비밀번호 교체를 적용해 공격 표면을 줄이세요. 비밀번호를 자주 변경하고 계정마다 고유한 비밀번호를 사용해 위협 행위자가 자격 증명 기반 공격을 실행하기 어렵게 만드세요.
• 인증서 서비스를 강화하려면 적절한 템플릿과 등록 제어가 필요합니다. 도메인 간 권한 상승과 무단 리소스 접근 시도를 방지하려면 페더레이션 신뢰 관계를 신중하게 구성하세요.
• 워크스테이션, 앱, 구성원 서버, 데이터 저장소를 점검해 사용자 계정에 과도한 권한이 부여되지 않았는지 확인하세요. 보안이 강화된 관리자 호스트를 사용하고, 시스템 및 네트워크 보안뿐 아니라 해당 호스트의 물리적 보안도 점검하세요.
• 도메인 컨트롤러의 보안 구성 기준선을 설정하고 그룹 정책 개체(GPOs)로 적용하세요.  고급 감사 정책을 사용하고 AD 데이터를 분류하세요.

Active Directory 공격 탐지 방법: 모니터링 및 위협 탐지 신호

Active Directory 환경에서는 공격을 모니터링하고 조기에 차단하기 위해 살펴봐야 할 신호가 많습니다. 다음 항목을 확인하세요:

로그 및 텔레메트리

도메인 컨트롤러에서 이벤트 로그를 수집하세요. Kerberos 티켓 요청과 DC 진단 보고서를 확인해 비정상적인 패턴을 찾아내세요. 티켓 부여 티켓 요청의 급증이나 단일 호스트에서 반복되는 인증 실패를 주시하세요. 서비스 전반의 텔레메트리를 연관 분석해 정찰 활동이나 권한 남용을 정확히 파악하세요.

도구/분석

공격 경로 매핑 도구와 이상 탐지 엔진으로 네트워크에서 자격 증명이 이동하는 경로를 시각화하세요. 네트워크 모니터링 플랫폼은 내부 트래픽을 추적하고 비정상적인 SMB 또는 RPC 호출을 식별합니다. 이를 통해 숨겨진 측면 이동을 드러낼 수 있습니다.

침해 지표

예상치 못한 호스트에 나타나는 SPN, 여러 계정에서 재사용되는 Kerberos 티켓, 갑작스러운 그룹 변경을 확인하세요. 승인된 절차 없이 접근 권한이 변경된 계정이나 정규 업무 시간 외에 발급된 티켓을 표시하세요.

Active Directory 침해 후 대응 및 복구 방법

Active Directory 위협을 방치하면 조직에 심각한 피해를 줄 수 있습니다. Active Directory 보안 침해 후에는 다음과 같이 대응하고 복구하세요:

추가 피해를 방지하려면 침해된 계정을 즉시 격리하세요. 포렌식 분석 중에는 티켓을 폐기하고 비밀번호 제한을 재설정하세요. 추가 조사와 복구 계획 수립을 위해 발견한 증거를 보존하세요.

시스템도 복원해야 합니다. 오염되지 않은 백업을 만들고 NTDS 데이터베이스 복구에 집중하세요. 포렌식 분석을 통해 Active Directory 공격 기법, 경로, 침해된 시스템을 파악한 후 서비스를 안전하게 다시 가동하세요.

사고 후 보안 강화에는 침해를 통해 얻은 교훈을 반영해야 합니다. 구성을 변경하고 모니터링을 강화해 유사한 공격을 방지하는 동시에 조직의 전반적인 보안 태세와 탐지 역량을 개선하세요.

Active Directory 보안을 강화하는 도구와 기술은 무엇인가요?

다음 도구와 기술로 Active Directory 보안을 강화하세요:

SIEM/EDR/IDR 기술

보안 정보 및 이벤트 관리 시스템은 도메인 컨트롤러에서 인증 로그를 수집하고 자격 증명 탈취나 권한 상승과 같은 의심스러운 활동의 징후를 찾기 위해 행동 패턴을 분석합니다. 엔드포인트 탐지 및 대응 시스템은 워크스테이션의 악성코드 감염과 측면 이동 시도를 선제적으로 검사하고, 아이덴티티 위협 탐지 시스템은 하이브리드 환경의 인증 이상 징후를 검사합니다. 이러한 시스템은 여러 소스의 이벤트를 교차 연관 분석해 지능형 지속 위협의 징후를 찾아냅니다.

사이버 공격 경로 관리 소프트웨어 + ID/권한 관리

특권 액세스 관리 소프트웨어는 관리자 자격 증명을 암호화된 저장소에 보호하고 자동화된 승인 워크플로를 통해 적시 액세스를 제공합니다. 이러한 플랫폼은 환경 전반의 잠재적 공격 표면을 모델링하고, 최소 권한 원칙을 적용하며, 서비스 계정의 비밀번호를 자동으로 교체합니다. SentinelOne Singularity™ Identity Detection & Response 같은 제품은 특권 계정 관리와 실시간 세션 활동 모니터링을 통해 자격 증명 확산도 방지합니다.

모니터링, 자동화 및  위협 헌팅

변경 모니터링 제어는 Active Directory 개체, 그룹 구성원, 권한 변경을 모니터링하고 실시간으로 경고합니다. 자동화 시스템은 구성 이탈을 감지하고 비활성 계정을 식별하며 침해를 시사할 수 있는 비정상적인 인증 패턴을 찾아냅니다. 위협 헌팅 기술은 ID 신호를 네트워크 및 엔드포인트 데이터와 결합해 기존 보안 제어를 우회하는 지능형 위협을 식별합니다.

흔한 실수와 잘못된 구성으로 위험에 노출되는 Active Directory

반복되는 실수와 잘못된 구성은 Active Directory 보안을 위협합니다. 개방된 LDAP, 취약한 비밀번호, 권한 있는 그룹의 과도한 구성원 수, 잘못 구성된 신뢰 관계, 사용하지 않는 계정 등이 해당합니다.

많은 조직이 LDAP 채널에 서명을 적용하지 않습니다. 이로 인해 인증 과정에서 자격 증명 가로채기와 릴레이 공격이 발생할 수 있습니다. 취약한 암호 정책과 Domain Admins 그룹의 과도한 계정 등록은 공격 표면을 불필요하게 확대합니다. 도메인 간 신뢰 관계가 잘못 설정되면 권한 상승이 가능해지고, 휴면 계정은 일반적인 모니터링을 피하는 지속적인 백도어가 됩니다. 정기적으로 검토하지 않으면 서비스 계정에 과도한 권한이 부여되는 경우가 많습니다.

Active Directory 보안의 새로운 동향과 위험

다음 사항에 주의하세요:

하이브리드 AD + Azure AD 통합 위험

조직의 하이브리드 클라우드 구축은 새로운 공격 표면을 만듭니다. 위협 행위자는 온프레미스와 클라우드 ID 인프라 간의 동기화 허점을 악용합니다. Azure AD Connect 배포와 ADFS 페더레이션 신뢰 관계가 제대로 구성되지 않으면 두 인프라 모두에서 권한 상승의 기회가 생깁니다. 공격자는 ID 동기화 서비스를 온프레미스와 클라우드 자격 증명을 동시에 공격하는 수단으로 봅니다.

클라우드 ID 위협, 공급망 위협, AI 기반 공격 전술

지능형 사이버 위협은 머신러닝 알고리즘으로 탈취한 자격 증명 목록을 검사해 비밀번호 스프레이와 크리덴셜 스터핑 같은 정교한 공격을 자동화합니다. 공급망 침해는 ID 관리자와 인증 기관을 점점 더 많이 겨냥합니다. 위협 행위자는 과도한 권한을 가진 클라우드 서비스 주체와 애플리케이션 ID도 공격합니다.

정책/거버넌스 변화와 규제 압박

오늘날의 규정 준수 표준은 상시 권한 제거와 모든 권한 활동의 완전한 감사 추적을 통한 지속적인 ID 모니터링을 요구합니다. 기업은 직무 분리와 자동화된 접근 검토를 포함한 적시 접근 모델을 도입해야 합니다. 새로운 법률은 위험 기반 인증과 지속적인 규정 준수 검증을 요구하는 ID 거버넌스 기술의 도입을 촉진합니다.

추적해야 할 Active Directory 보안 지표와 KPI

추적해야 할 주요 Active Directory 보안 지표와 KPI는 다음과 같습니다:

• 평균 탐지 시간: 초기 침해부터 보안 팀이 잠재적 위협을 탐지하기까지 걸리는 시간을 측정하세요. 최적의 대응을 위한 탐지 목표는 30분~4시간 이내입니다.
• 평균 대응 시간: 위협 탐지부터 완전한 차단과 복구까지 걸리는 시간을 측정합니다. 두 지표는 사고 대응 프로세스의 성숙도와 도메인 컨트롤러 및 인증 시스템의 탐지 범위를 평가하는 데 사용됩니다.
• 권한 있는 계정의 노출: Domain Admins 및 Enterprise Admins 같은 고위험 그룹의 구성원 변경을 모니터링해 도메인 내 관리자 권한을 가진 계정의 총수를 파악하세요.  일정 기간 접근 기록이 없는 미사용 권한 계정, 관리자 계정에 대한 로그인 실패 시도, 권한 있는 세션의 지속 시간, 업무 시간 외 권한 계정 사용 징후도 추적하세요.
• 레거시 프로토콜 사용: 자격 증명 릴레이 공격을 가능하게 하는 NTLM, 서명되지 않은 LDAP, 이전 버전의 TLS 같은 구식 프로토콜을 사용한 인증 시도를 모니터링하세요..
• 감사 범위: 인증 이벤트, 권한 변경, 정책 수정에 대한 전체 로깅이 활성화된 도메인 컨트롤러의 수를 추적하세요. 사각지대를 방지하려면 AD 인프라 전반에서 로그 수집과 보존의 공백을 찾아야 합니다.
• 사용하지 않는 계정 수: 정해진 기간 동안 인증 기록이 없는 사용자 및 컴퓨터 계정을 확인하세요. 일반적으로 사용자 계정은 90일, 컴퓨터 계정은 30일을 기준으로 합니다. 도메인 환경 전반에서 계정 정리 활동과 활성 계정 대비 비활성 계정의 비율을 모니터링하세요.

SentinelOne을 통한 Active Directory 보안

Active Directory를 보호하는 방법을 알고 싶으시다면, 다음을 살펴보세요:

Singularity™ Identity Detection & Response는 Active Directory와 Entra ID를 위한 실시간 인프라 방어로 자격 증명 오용을 차단합니다. 또한 권한을 획득하고 은밀하게 이동하려는 공격자로부터 도메인 컨트롤러와 도메인에 가입된 자산을 보호합니다.

IoT 및 OT를 포함한 모든 기기 유형과 OS에서, 관리 여부와 관계없이 기업 전반의 시스템에서 발생하는 AD 공격을 탐지할 수 있습니다. 미끼와 허위 정보로 공격자를 유인해 중요한 AD 자산 대신 막다른 경로로 이끌 수 있습니다. 로컬 및 클라우드에 저장된 데이터에 대한 접근을 숨기고 차단하는 동시에 공격자의 내부 이동을 매우 어렵게 만듭니다.

다음과 같은 성과를 얻으세요:

• Active Directory 보안을 강화하고 중요 도메인 서버를 노리는 공격자의 활동에 대한 가시성과 인식 확보
• 공격자가 엔드포인트에서 권한을 상승시키는 데 악용하는 서비스 계정 침해에 대한 가시성 확보.
• 적절한 그룹에 속하지 않은 계정에 상승된 권한을 부여하는 Access Control Lists 및 위임 설정 오류 식별.
• 공격자의 침해로부터 중요한 사용자, 서비스 및 시스템 계정 보호.
• 빠른 가치 실현과 온프레미스 Active Directory, Entra ID 및 멀티 클라우드 환경 전반에 대한 완전한 보호 범위 확보

Singularity™ Identity Detection & Response는 Zero Trust 프로그램을 지원하며, 접근 관리 기능으로 애플리케이션과 데이터 리소스에 대한 암묵적 신뢰를 제한합니다. 엔드포인트, AD 및 클라우드에서 ID 노출을 식별해 전체 공격 표면을 줄입니다. 엔드포인트나 도메인 컨트롤러에서 발생하는 ID 공격을 탐지하고 ID 신뢰 위반을 알립니다.

침해로 이어지는 경로를 파악하고, 공격자가 한 시스템에서 다른 시스템으로 공격을 확장하는 방식을 보여주는 토폴로지 맵을 확인하세요. 노출된 공격 표면, 관리되지 않는 자격 증명 자산 및 정책 위반을 포함해 네트워크 전반에서 내부 이동을 가능하게 하는 숨겨진 요소를 발견할 수 있습니다. 로그 분석에는 AI-SIEM 을 사용하고, 엔드포인트 보안에는 SentinelOne의 Singularity™ Endpoint를 사용할 수 있습니다.

조직 전반의 ID 위험 감소

Active Directory 및 Entra ID를 위한 종합적인 솔루션으로 실시간으로 공격을 탐지하고 대응하세요.

데모 신청하기

결론

Active Directory 보안에 모든 조직에 똑같이 적용되는 접근법은 없습니다. Active Directory 환경을 강화하려면 여러 조치, 도구, 기술 및 운영 방식이 필요합니다. 기본부터 시작해 한 단계씩 진행하세요. 기존 보안 인프라와 사용자 계정을 점검하고 감사를 실시하세요. 그런 다음 보호 범위를 넓혀가세요.

최적의 Active Directory 보안 도구를 찾고 계신다면 SentinelOne 팀에 문의하세요. 저희 서비스를 통해 필요한 지원을 받으실 수 있습니다.